MX2011002423A - Autorizacion de operaciones de servidor. - Google Patents

Abstract

Se proporciona un dispositivo de autorización para autorizar las operaciones de un servidor remoto pedidas desde computadoras de usuario vía una red de comunicaciones de datos. El dispositivo tiene una interface computacional para conecta el dispositivo a una computadora local de usuario para la comunicación con el servidor remoto, y una interface de usuario para presentar la información a un usuario. La lógica de control del dispositivo se adapta para usar los datos de seguridad para establecer entre el dispositivo y el servidor, por medio de la computadora local de usuario, una conexión autenticada mutuamente para las comunicaciones encriptadas de extremo a extremo entre el dispositivo y el servidor. La lógica de control recopila del servidor, vía esta conexión, la información indicativa de cualquier operación pedida por las computadoras de usuario mediante otras conexiones al servidor y que requieren la autorización por parte de un usuario del dispositivo. Esta información es presentada a un usuario por medio de la interface de usuario para pedir la autorización del usuario. Las operaciones de servidor son controladas en conformidad con los datos de las reglas que definen las operaciones que requieren de autorización de uno ó más usuarios autorizadores. La lógica de control del aparato de control del servidor responde a una petición de operación de una computadora de usuario al determinar, a partir de los datos de las reglas, sí se requiere la autorización de por lo menos un usuario autorizador para esta operación. De ser así, la operación se difiere. Cuando una conexión autenticada mutuamente se establece con un dispositivo autorizador, el aparato de control puede suministrar la información indicativa de cualquier operación diferida pedida desde las computadoras de usuario y que requieren la autorización por parte del usuario del dispositivo. Una operación diferida sólo se lleva a cabo después de la recepción de la autorización de cada usuario autorizador cuya autorización se requiere para esta operación, proporcionando una autorización segura de múltiples partes en un ambiente de computación móvil.

Description

AUTORIZACIÓN DE OPERACIONES DE SERVIDOR i ' Esta invención se refiere de manera general a la ¡autorización de las operaciones de servidor pedidas desde ¡computadoras de usuarios finales a través de redes de comunicaciones de datos. Se proporcionan los aparatos, sistemas y programas computacionales para la autorización de I 'las operaciones remotas . de servidor y para controlar la ¡ejecución de las operaciones mediante servidores que dependen 'de dicha autorización. i Existen varios escenarios en los cuales los usuarios de 'computadoras se comunican con un servidor remoto por medio de una red de comunicaciones de datos para pedir la ejecución de jalguna operación mediante el servidor. Tal servidor es pperado típicamente mediante el proveedor de un servicio de acceso en línea para usuarios remotos. El término "servidor" I es usado aquí de la manera más general, e incluye cualquier computadora o sistema que proporcione algún servicio o funcionalidad para conectar a los usuarios . Una operación realizada por medio de un servidor a partir de una petición de usuario puede ser simplemente el otorgar al usuario el i acceso a algún recurso, por ejemplo, a una base de datos o a ün sitio web restringido, o puede tratarse de la implementación de alguna transacción, tal como una transacción bancaria, ordenada por el usuario. En cualquier I caso, la naturaleza de la infraestructura de comunicaciones es tal que la seguridad es a menudo una preocupación clave, ( asegurando en particular que las operaciones del servidor j sólo se llevan a cabo por usuarios autorizados de manera |genuina. En el caso de los negocios electrónicos realizados a j través de Internet, por ejemplo, el fraude en línea es una j amenaza que crece de manera constante. Los ataques avanzados, í tal como el infame ataque intermediario (MITM, por sus siglas jen inglés), y varios tipos de software maliciosos tales como ¡los virus o caballos de Troya, están incrementando su ¡prevalencia, mientras las medidas en contra como el software janti-virus y los firewalls siempre parecen encontrarse un jpaso atrás de los atacantes. Consecuentemente, las i computadoras de los usuarios, tales como las computadoras ¡personales (PCs, por sus siglas en inglés), además de 'internet en sí mismo, deben considerarse como no confiables de manera inherente, ya que presentan numerosos riesgos de 'seguridad para las transacciones electrónicas . A manera de ejemplo, sí un usuario se conecta desde su PC a un portal de algún proveedor de un servicio en línea para iniciar una transacción, no puede estar seguro que la transacción no se manipule de manera silenciosa por algún software malicioso o I ' ' ún MITM. El proveedor del servicio enfrenta una dificultad similar en la cual no puede estar seguro de que se está comunicando con un usuario autorizado genuino.

Varios sistemas han propuesto resolver algunos de los problemas de seguridad en los escenarios anteriores. Por i ejemplo, la Patente de E.U. No. 6,895,502 describe un I dispositivo de seguridad que puede conectarse a una PC de ' usuario que incorpora un lector para una tarjeta inteligente. I Cuando el usuario pide un recurso desde un servidor remoto I mediante su PC, el servidor recupera la clave pública del ! usuario y transmite de vuelta un campo de datos encriptado J que incluye la información de la transacción además de un reto. El recurso pedido desde la PC de usuario se muestra en J el dispositivo de seguridad, y el usuario puede confirmar si j él pidió o no este recurso al ingresar al dispositivo de j seguridad, cuya elección es enviada de vuelta al servidor, j Este dispositivo permite al usuario de una PC dada emitir una j confirmación contemporánea de las peticiones del recurso .emitido una a la vez desde dicha PC. No obstante, el sistema I es vulnerable a ataques de "reto falso". Esto es, cualquier ente malicioso puede generar un reto encriptado bajo la clave 1 pública de usuario y enviarlo a la PC de usuario, por ejemplo,, para confundir al usuario en la réplica.

I Adicionalmente, cualquiera puede desencriptar el mensaje de ¡respuesta del usuario a un reto con la clave pública de I usuario. Por lo tanto, este sistema es de utilidad limitada y I muestra sus propios problemas de seguridad y privacidad.

^ Nuestra Solicitud Europea de Patente, en tramitación con otra, la No. 07022419 . 1 , presentada el 19 de Noviembre de i 2007 , describe otro dispositivo para llevar a cabio la j conexión a una computadora de usuario. Este dispositivo también es descrito en "The Zurich Trusted Information 1 Channel - An Efficient Defence against Man-in-the-Middle and I Malicious Software Attacks", Thomas Weigold et al., en P.

¡ Lipp, A.-R. Sadeghi, y K.-M. Koch (Eds.) : TRUST 2008 , LNCS I . - 4968 , pp. 75-91 , Springer-Verlag Berlin Heidelberg 2008 . Este i dispositivo establece una conexión segura, de extremo a j extremo, autenticada mutuamente con el servidor cuando se pide a través de una aplicación proxy en la PC de usuario que ' está contactada por el navegador para ingresar a un URL i I (universal resource locator, localizador universal remoto, en español) de un banco específico. La sesión subsecuente del ; navegador es conducida entonces por medio de la conexión I segura y monitoreada por el dispositivo de seguridad. Sí el ¡ dispositivo detecta información sensible a la seguridad, tal , como los detalles de la transacción bancaria, está se muestra en el dispositivo y el usuario puede presionar un botón para ! indicar su confirmación. Sólo sí el dispositivo de seguridad recibe esta confirmación mantendrá la conexión y direccionará la petición de transacción al servidor. Este dispositivo permite nuevamente al usuario de una PC dada conceder la j confirmación contemporánea de las peticiones emitidas una a ; la vez desde esta PC, aunque en este caso, la totalidad de la sesión de servidor es conducida mediante la conexión segura bajo el control del dispositivo de seguridad que determina cuando la autorización del usuario es requerida.

Un aspecto de la presente invención proporciona un dispositivo de autorización para autorizar las operaciones de un servidor remoto pedidas desde las computadoras de usuarios ; mediante una red de comunicaciones de datos. El dispositivo I * incluye : Una interface de computadora para conectar el dispositivo a una computadora local de usuario para I comunicarse con el servidor remoto mediante una red de I comunicaciones de datos, Una interface de usuario para presentar la información ! aun usuario, y j La lógica de control adaptada para: Usar los datos de seguridad accesibles a la lógica de 1 control en uso para establecer entre el dispositivo y el j servidor, vía la computadora local de usuario, una conexión ; mutuamente autenticada para comunicaciones encriptadas de ! extremo a extremo entre el dispositivo y el servidor; Recopilar del servidor, vía . dicha conexión, la información que indica cualquier operación pedida por medio de una conexión diferente al servidor y que requiere la autorización por parte del un usuario del dispositivo; y Presentar dicha información a un usuario vía dicha interface de usuario para indicar la autorización de dicha operación.

As , un dispositivo de autorización que incorpore la presente invención puede estar conectado a una computadora de suario por medio de su interface computacional y establecer una conexión segura, de extremo a extremo, autenticada ¡mutuamente con el servidor. Adicionalmente, la lógica de control del dispositivo recopila del servidor en esta ¡conexión la información indicativa de cualquier operación pedida por medio de una conexión diferente al servidor que requiere autorización por parte de un usuario del dispositivo. De tal modo, la adquisición de la información de las peticiones de operación que requieren autorización del usuario se inicia mediante la acción de la lógica de control, y las peticiones de operación sobre las cuales se recibe la información son aquellas que son enviadas a través de una ó más conexiones diferentes con el servidor. El dispositivo puede recopilar así los detalles de cualquier cantidad de peticiones de operación enviadas al servidor en cualquier fomento, ya sea antes o después del establecimiento de la conexión segura, y enviados por cualquier usuario desde cualquier computadora de usuario, ya sea a aquella a la cual está conectado el dispositivo actualmente y/o una ó más computadoras diferentes habiendo establecido algunas veces üna conexión de red con el servidor. De esta manera, los dispositivos de autorización que incorporan la presente invención proporcionan las bases para la autorización segura i de las operaciones de servidor pedidas desde computadoras de usuario no confiables en un ambiente computacional móvil, además de la autorización de múltiples partes de las peticiones en tales ambientes. En particular, las operaciones i de servidor pueden depender de la autorización de más de un usuario autorizador, las autorizaciones necesarias que son i obtenidas de manera asincrona mientras usuarios diferentes se I conectan al servidor mediante los dispositivos de autorización y recopilan los detalles de las peticiones de operación destacadas. Además, cualquier otra sesión, por ejemplo, una sesión actual del navegador, entre la computadora de usuario y el servidor, puede permanecer sin afectación por el procedimiento de autorización en la ¡ conexión segura y puede conducirse de manera normal en su totalidad. Los dispositivos que incorporan la invención o Ifrecen de tal modo sistemas flexibles, eficientes y amigables con el usuario para la autorización de múltiples partes de las operaciones de servidor sobre sistemas inseguros en un ambiente computacional móvil .

! Para recopilar la información de la petición de operación desde el servidor, la lógica de control del i dispositivo presentará alguna forma de petición al servidor ¿ara presentar de regreso la información, aunque en general i j i esta petición puede ser explícita o implícita. Por ejemplo, la petición puede ser implícita en el proceso de establecer la conexión segura, respondiendo el servidor al establecimiento exitoso de la conexión al enviar cualquier información de petición de operación apropiada para un psuario autorizador asociado con los datos de seguridad ¡empleados para establecer la conexión. De manera alternativa, la lógica de control envía una petición explícita de la información sobre las peticiones de operación que requieren la autorización del usuario del dispositivo. Así, la lógica de control puede ser adaptada para enviar la petición de información por medio de la conexión segura, por ejemplo, en respuesta al establecimiento de la conexión, y preferentemente pide la información del servidor de manera periódica mientras persiste la conexión segura. El punto clave es que la adquisición de la información de la petición de operación del servidor se inicia mediante el dispositivo i , , , de autorización, permitiendo al dispositivo obtener la información en cualquier momento y lugar donde tenga una conexión segura con el servidor en un ambiente móvil .

La lógica de control inicia preferentemente el i establecimiento de la conexión segura con el servidor, en respuesta a la conexión del dispositivo de autorización en la computadora local de usuario. Este proceso puede o no requerir alguna entrada de usuario donde la interface de usuario incluye un mecanismo de entrada, por ejemplo, para teclear un PIN (número de identificación personal, en español) de usuario. En cualquier caso, el establecimiento de ? la conexión segura depende de que la lógica de control tenga I acceso a alguna forma de datos de seguridad que puedan ser ¡usados para el proceso de autenticación mutua. Los datos de ¡ seguridad incluyen típicamente una clave secreta suministrada j por el proveedor del servicio que ejecuta el servidor, pero I en general puede comprender cualquier dato tal como j contraseñas de uso único u otros secretos conocidos ¡mutuamente para protocolos de respuesta de reto que permiten la autenticación mutua del dispositivo y del servidor de I autorización para establecer la conexión segura. Los datos de j seguridad podrían ser almacenados en la memoria del ¡dispositivo de autorización, por ejemplo, en un chip a prueba de manipulación embebido en el dispositivo. De manera I alternativa, los datos de seguridad podrían ser almacenados en un dispositivo de seguridad por separado con el cual el ¡ i dispositivo de autorización puede ser la interface para ¡suministrar el acceso a la lógica de control a los datos de ^seguridad. Un factor de forma preferido para el dispositivo de seguridad aquí presentado es una tarjeta inteligente. ? 1 El dispositivo de autorización en sí mismo puede tomar una variedad de formas. Por ejemplo, cuando el dispositivo es adaptado para ser la interface con un dispositivo de seguridad tal como una tarjeta inteligente transportada por los1 usuarios autorizados, el dispositivo es convenientemente ! un dispositivo de escritorio pequeño y portátil, que I incorpora el lector de tarjeta u otra mterface para el i dispositivo de seguridad. Tal dispositivo podría ser dedicado I solamente para el propósito de autorización o puede estar I j integrado con algún otro dispositivo que proporcione I funcionalidad adicional, por ejemplo, un ratón. Cuando los ¡ datos de seguridad se almacenan en el dispositivo de ¡ autorización en sí mismo, el dispositivo es idealmente un 1 dispositivo portátil pequeño que puede ser transportado ' fácilmente por un usuario, dedicado de nuevo" solamente a un í solo propósito o con una funcionalidad combinada. Cómo se ejemplifica aquí, el dispositivo podría ser incorporado en un I dispositivo llamado memory stick o en un reproductor personal ; de música tal como un reproductor de MP3. En cualquier caso, para evitar la necesidad de incorporar mecanismos de j protección para prevenir la interferencia de software I malicioso, el dispositivo preferentemente no incorpora una j funcionalidad computacional de propósito general. Esto es, el ! dispositivo se configura preferentemente de modo tal q no se ! puede cargar un código arbitrario al procesador del dispositivo . i La interface de usuario incluye idealmente una pantalla para mostrar la información de la petición de operación, con o sin procesamiento que intervenga en el dispositivo de autorización para el usuario. Sin embargo, las alternativas pueden ser previstas como se describió anteriormente. En la modalidad preferida, la interface de usuario también incluye un mecanismo de entrada para ingresar la autorización del usuario al dispositivo, la lógica de control adaptada para conducir la autorización del usuario al servidor por medio de la conexión autenticada mutuamente. No obstante, de nuevo, las alternativas pueden ser previstas como se describe anteriormente. Cuando la interface de usuario incluye un mecanismo de entrada, este permite idealmente la entrada de alguna información de seguridad del usuario, por ejemplo, un PIN de usuario, para permitir a un usuario autorizado ! "desbloquear" el dispositivo para el procedimiento de i autorización.

Un segundo aspecto de la invención proporciona el ' aparato para controlar lás operaciones de un servidor pedidas i desde computadoras de usuario mediante la red de j comunicaciones de datos. El aparato incluye memoria para almacenar, las operaciones de definición de las reglas de I datos que requieren la autorización de uno ó más usuarios i j autorizadores , y la lógica de control adaptada: j En respuesta a una petición desde una computadora de 'usuario para realizar dicha operación, para determinar, a ¡partir de las reglas, sí la autorización de por lo menos un usuario autorizador se requiere para esta operación y, de ser as , diferir dicha operación; Comunicarse con un dispositivo de autorización en conformdiad con un primer aspecto de la invención para establecer dicha conexión autenticada mutuamente;.

Suministrar al dispositivo de autorización, vía dicha información de conexión, la indicación de cualquier operación diferida pedida desde las computadoras de usuario y que requiera la autorización por parte de un usuario del dispositivo de autorización, y la recepción de la autorización del usuario; y ¡ Iniciar la ejecución de una operación diferida en respuesta a la recepción de la autorización de cada usuario autorizador de los cuales se requiere la autorización para esta operación.

En las modalidades de este aspecto de la invención, la lógica de control puede enviar la información de petición de autorización en respuesta a una petición desde el dispositivo de autorización por medio de dicha conexión autenticada mutuamente. Tal petición puede ser explícita o implícita como se discutió anteriormente, y puede ser tratada por el aparato como una petición en espera, en la cual cualquier petición de í operación adicional recibida durante un intervalo de tiempo predeterminado, y que requiera la autorización del usuario del dispositivo, será enviada al dispositivo de autorización i I i i mediante la conexión segura. j Un tercer aspecto de la invención proporciona un servidor para realizar las operaciones pedidas desde las jcomputadoras de usuario por - medio de una red de comunicaciones de datos. El servidor incluye: La circuitería para comunicarse con las computadoras de usuario vía la red de comunicaciones de datos; la lógica de servidor para llevar a cabo dichas operaciones en respuesta a las peticiones de las computadoras de usuario; y los aparatos j Jen conformidad con el segundo aspecto de la invención para controlar el desempeño de dichas operaciones mediante la lógica de servidor.

Un cuarto aspecto de la invención proporciona un sistema de comunicaciones de datos que incluye: ' Un servidor en conformdiad con el tercer aspecto de la I invención; por lo menos una computadora de usuario para tener comunicación con el servidor por medio de una red de comunicaciones de datos; y por lo menos un dispositivo de autorización en conformdiad con el primer aspecto de la invención para la conexión con la computadora de usuario mediante dicha interface computacional del dispositivo; en el cual, la computadora de usuario se adapta para transmitir las comunicaciones entre el dispositivo de autorización y el iervidor vía dicha conexión autenticada mutuamente.

¡ Un quinto aspecto de la invención proporciona un programa computacional que incluye el medio en código de programación para causar que un procesador de un dispositivo ¡de autorización, adaptado para tener conexión con una tomputadora de usuario mediante la comunicación con un servidor remoto a través de una red de comunicaciones de datos y con una interface de usuario para presentar la ¡información a un usuario del dispositivo; para: Usar datos de seguridad asociados con el dispositivo de autorización para establecer, vía la computadora local de usuario, una conexión autenticada mutuamente -para comunicaciones encriptadas de extremo a extremo con el servidor; Recopilar desde el servidor, vía dicha conexión, la información indicativa de cualquier operación pedida por medio de una conexión diferente con el servidor y requerir la autorización por un usuario del dispositivo; y Presentar dicha información a un usuario vía dicha interface usuario para mostrar la petición de autorización de Licha operación.

Un sexto aspecto, de la invención proporciona un programa computacional que incluye el medio en código de i programación para provocar que un servidor, adaptado para realizar las operaciones pedidas desde las computadoras de usuario, vía una red de comunicaciones de datos y con memoria j para almacenar las operaciones de definición de los datos reglamentarios que requieren de autorización por parte de uno ó más usuarios autorizadores , para: Determinar a partir de los datos reglamentarios , en jrespuesta a una petición desde una computadora de usuario de realizar dicha operación, sí la autorización por parte de por jlo menos un usuario autorizador se requiere para esta ¡operación y, de ser así, diferir esta operación; j Comunicarse con un dispositivo autorizador en conformdiad con el primer aspecto de la invención para Restablecer dicha conexión autenticada mutuamente; Suministrar al dispositivo de autorización, vía dicha jconexión, la indicación de la información de cualquier ioperación diferida que requiere la autorización por parte de í jun usuario del dispositivo de autorización, y para recibir la autorización por parte del usuario; y Réalizar una operación diferida en respuesta al recibimiento de la autorización a partir de cada usuario autorizador cuya autorización se requiere para esta operación.

I j Un programa computacional que incorpora la invención puede constituir un programa independiente o puede ser un I elemento de un programa más grande, y puede ser suministrado, por ejemplo, estando incorporado en un medio legible por computadora tal como un disco o una transmisión electrónica para ser cargada en una computadora. El medio con código de i í ¡programa del programa computacional puede incluir cualquier expresión, en cualquier lenguaje, código o notación, de un grupo de instrucciones pensadas para provocar que una computadora realice el método en cuestión, ya sea de manera directa, después de cualquiera de una ó' de las dos cosas siguientes: a) la conversión a otro lenguaje, código o -notación, y b) la reproducción en una forma, diferente de material .

I En general, cuando las características se describen con 'relación a una modalidad de un aspecto de la invención, las características correspondientes pueden suministrarse en i modalidades de otro aspecto de la invención.

! Las modalidades preferidas de la invención serán descritas a continuación, a manera de ejemplo, con relación a las figuras anexas, en las cuales: La Figura 1 es una representación esquemática de un sistema de comunicaciones de datos que incorpora la 1 i .invención; i ¦ ¦ La Figura 2 muestra con mayor detalle un dispositivo de autenticación, una computadora personal (PC, por sus siglas pn inglés) de usuario y el servidor del sistema de la Figura ! ; La Figura 3 indica los pasos realizados por el servidor al recibir una petición de operación desde una PC; La Figura 4 indica los pasos claves en la operación del dispositivo de autenticación de la Figura 2; y La Figura 5 indica la operación del servidor al recibir una petición de la información de una transacción desde el jdispositivo de comunicaciones de la Figura 2.

La Figura 1 muestra un sistema de comunicaciones de datos que incorpora la invención para implementar un sistema de autorización seguro de transacciones entre múltiples partes en un escenario de computación móvil. El- sistema 1 incluye un servidor 2 que puede comunicarse con múltiples computadoras de usuario 3 por medio de una ó más redes de comunicaciones de datos representada generalmente en la 'figura por la red 4. Se asume aquí que el servidor 2 es implementado mediante una computadora de propósito general configurada para realizar las funciones descritas, aunque en general la funcionalidad del servidor 2 podría ser distribuido sobre una variedad de máquinas físicas de un sistema de servidor. Las computadoras de usuario 3 pueden implementarse por medio de una variedad de dispositivos de i computadora, tales como PCs , PDAs (asistentes personales i digitales, en español), teléfonos móviles, etc., . los cuales son capaces de comunicar los datos con el servidor 2 vía la red 4. A propósito de este ejemplo, se asume que el servidor 1 da acceso a un servicio de banca en línea a los cuales las computadoras 3 que operan los usuarios se pueden conectar de manera periódica para realizar las transacciones bancarias .

I La implementación de las transacciones mediante el servidor 2 está sujeta a un proceso de autorización por múltiples i partes. En particular, por lo menos algunas transacciones; ¡las cuales pueden ser pedidas por las computadoras de usuario 3, deben ser autorizadas por uno ó más usuarios autorizadores antes de ser implementadas por el servidor 2. Para autorizar las transacciones, un usuario autorizador emplea un dispositivo móvil de autorización de transacción dedicado |(TAD, por sus siglas en inglés) 5 que puede conectarse a una computadora de usuario 3, tres de estos dispositivos estando indicados en la Figura 1.

I La Figura 2 es un diagrama de bloque esquemático de un TAD 5, la PC de usuario 3 y el servidor 2 que muestra los i elementos principales implicados en el sistema de autorización. El TAD 5 de este ejemplo es un dispositivo de escritorio pequeño con una interface computacional , aquí una i i interface USB 6, para conectar el dispositivo a una computadora de usuario 3 , y una interface de usuario que incluye una pantalla 7 y un teclado 8 para la entrada de i datos del usuario. El TAD 5 también tiene una interface del dispositivo de seguridad en la forma de un lector de tarjeta j 9 para funcionar como la interface con una tarjeta inteligente 10. La lógica de control 11 controla la operación del dispositivo de manera general e implementa los diferentes aspectos del proceso de autorización descritos anteriormente. i El servidor 2 incluye la circuitería de comunicaciones 13 usual para funcionar como la interface con la(s) red (es) de comunicaciones de datos 4 , y la lógica de servidor1 14 para llevar a cabo las diversas funciones del servicio de banca en línea. Además, el servidor 2 incluye el aparato de autorización que comprende la lógica de control de autorización 15 y la memoria 16 que contiene varios' datos jusados por la lógica de autorización 15 en operación. Esto 'incluye un registro de transacción diferida 17 , el propósito 'de esto se describe a continuación, y una base de datos de reglas 18 . La base de datos de reglas 18 define las transacciones que requieren autorización por uno ó más usuarios autorizadores . En particular, los datos de las reglas almacenados en la base de datos 18 indican las transacciones y, para cada transacción, la identidad de cada uno de los usuarios autorizadores cuya autorización se requiere para esta transacción. La estructura de las reglas i en la base de datos 18 puede variar desde una lista simple de reglas hasta una estructura compleja de datos, dependiendo de la aplicación particular. En general, la lógica de control 11 en el TAD 5 y la lógica 14 , 15 en el servidor 2 podrían í implementarse en hardware, software o en una combinación de ambos, aunque se asume aquí que esta lógica se implementa por medio de software ejecutado en la computadora servidor 2 o en un procesador del TAD 5 , de la manera más apropiada. El procesador que implementa la lógica de control 11 del TAD 5 i está diseñado de modo tal que no puede cargarse un código adicional y arbitrario a este procesador.

I El servidor 2 se muestra con una primera conexión a la ¡PC de usuario 3, indicado por la linea punteada en la figura, mediante la red 4. Por ejemplo, la PC de usuario tendrá Comúnmente una conexión de internet al servidor 2 vía un navegador de red ejecutándose en la PC 3. La PC de usuario 3 también se muestra al ejecutar una aplicación proxy 19 que si irve al . TAD 5 como se describe adicionalmente a I continuación. Mientras en general el proxy 19 podría estar I pre-instalado en la PC 3, en esta modalidad preferida el proxy puede ser cargado desde el TAD, por ejemplo, por medio del TAD que se registra a sí mismo como un dispositivo USB de almacenamiento masivo. i' ' La tarjeta inteligente 10 es dada a un usuario autorizador por el banco ejecutando el servidor 2. La tarjeta I 10 contiene los datos de seguridad para emplearse en el proceso de autenticación a ser conducido entre el TAD 5 y el servidor 2. En este ejemplo el dato de seguridad es una clave secreta criptográfica, pero la tarjeta inteligente también se personaliza convenientemente con la información de la cuenta I de usuario y los certificados, por ejemplo, la URL del proveedor del servicio, los certificados de confianza TLS/SSL (Transport Layer Security/Secure Sockets Layer, Seguridad de I la Capa de Transporte/Capa de Socket de Seguridad, en español), el nombre de usuario, el PIN, etc., y las claves criptográficas adicionales para ser usadas posiblemente en las comunicaciones con el servidor 2 .

, En la operación del sistema 1 , los clientes del banco pueden conectarse al servidor 2 desde cualquier computadora 3 j(no confiable) para iniciar sesión en el portal del banco en línea y pedir al servidor la realización de las operaciones tales como transferencias de fondos u otras transacciones bancarias . La operación del servidor 2 en respuesta a tal petición de transacción se indica en el diagrama de flujo de Figura 3 '. -Este proceso es activado al recibir la petición transacción como se indica en el paso 20 . Todas las peticiones de transacción recibidas por el servidor 2 son pasadas por la lógica del servidor 14 hasta la lógica de I autorización 15 . En el paso 21 , la lógica de autorización i accede a la base de datos de reglas 18 para verificar sí se requiere la autorización esta transacción. De lo contrario, como se indica mediante un "No" (N) en el paso de decisión 22 , la petición de transacción se regresa a la lógica del servidor 14 la cual realiza simplemente la transacción instruida en el paso 23 , y el proceso está completo. Sin embargo, sí a autorización de la transacción como se indica por un "Yes" (Y, si, en inglés) en el paso de decisión 22 , entonces, en el paso 24 , la lógica de autorización 15 hace una entrada en el registro de la transacción diferida 17.

'Esta entrada almacena los detalles de la transacción, además jde la identidad de cada usuario autorizador cuya autorización jse requiere para la transacción. La transacción es diferida de este modo dependiendo de la recepción de la(s) ¡autorización (es ) requerida (s) , terminando el proceso, j Varios usuarios pueden instruir transacciones en ^tiempos diferentes desde computadoras de usuario 3 diferentes y no confiables . Todas las peticiones de transacción se manejan por el servidor 2 justo como se ha descrito, a |través del cual el registro de la transacción diferida podría Contener, en cualquier momento, los detalles de varias transacciones esperando la autorización. Cada usuario autorizador identificado en la base de datos de reglas 18 lleva una tarjeta inteligente 10 como se describe anteriormente'. Los usuarios autorizadores también pueden llevar un TAD 5 y/o los TADs 5 pueden proveerse para usarse con las computadoras 3 en algunas locaciones . En cualquier caso, cuando un usuario autorizador con un TAD 5 tiene acceso a una computadora 3 conectada a la red, este puede realzar un procedimiento de autorización de la siguiente manera. El usuario inserta la tarjeta inteligente 10 en el TAD 5 y conecta el TAD a la PC de usuario 3 vía la interface USB 6. La operación subsecuente del TAD 5 es controlada por la lógica de control 11 y se indica en el diagrama de flujo de jla Figura 4 . En respuesta a la conexión del TAD 5 con la PC 3 , como se representa en el paso 30 , la lógica de control 11 . inicia el proceso de conectar el servidor 2 . Primero, en el ípaso 31 la lógica de control pide al usuario, mediante un mensaje en la pantalla 7 , que ingrese su PIN en el teclado 8 , y el número ingresado se verifica contra aquel almacenado en la tarjeta inteligente 10 . El dispositivo puede dar al usuario una cantidad de oportunidades para ingresar el PIN correcto, pero sí no se ingresa un PIN válido (N en la i idecisión 32 ) , el procesó terminará. No obstante, asumiendo que el PIN es válido (Y en la decisión 32), entonces en el ¡paso 33 la lógica de control lanza la aplicación proxy 19 en la PC 3 . A continuación, como se indica en el paso 34 , la lógica de control establece, con ayuda del proxy 19 , una ¡conexión autenticada mutuamente para las comunicaciones encriptada de extremo a extremo entre el TAD 5 y el servidor 2 . Esta conexión es indicada por la línea sólida en la Figura 2 . Para establecer esta conexión, la lógica de control se comunica con la tarjeta inteligente 10 vía el lector de i ¡tarjeta 9 para acceder a los datos de seguridad almacenados en la tarjeta 10 . La clave secreta previamente acordada se ¡usa para encriptar/desencriptar los mensajes, permitiendo la Jautenticación mutua del TAD y el servidor, y una conexión ¡TLS/SSL se establece con el servidor 2 al implementar el establecimiento del protocolo de 1 amanera conocida. La conexión TLS/SSL es de extremo a extremo entre el TAD 5 y el servidor 2 de confianza del proveedor de servicio para el cual ha sido configurado el TAD (por medio de los datos de seguridad en la tarjeta inteligente 10), en el cual el proxy jtransmite ciegamente los paquetes de red entre ambos. De manera consecuente, el proxy 19, además de la PC 3 , pueden no Ser confiables, ya que todos los datos que pasan a través de ellos están encriptados .

I Después de establecer la conexión segura, en el paso 35 de la Figura 4 , la lógica de control 11 envía una petición al i servidor 2 sobre la información de cualquier transacción que :ia sido diferida en espera de la autorización por el TAD del usuario. Esta petición puede incluir los datos del ID del usuario extraídos de la tarjeta 10 sí no se han suministrado previamente durante el establecimiento de la conexión segura. Sí el servidor responde que no existan transacciones I relevantes pendientes (N en el paso de decisión 36 ) , la ? lógica de control espera un intervalo predeterminado de tiempo representado por el bloque de retraso 37 . El proceso regresa entonces al paso 35 , por medio del cual será repetida †eriodicamente la petición de la información de ' la transacción mientras la conexión segura persista. Regresando al paso de decisión 36 , sí los detalles de la transacción son regresados por el servidor 2 , entonces en el paso 38 la lógica de control despliega los detalles de la primera j transacción a ser autorizada en la pantalla 7. La pantalla también pide al usuario que apruebe o rechace la transacción ¡mediante una entrada en el teclado 8 . El resultado es 'detectado en el paso de decisión 39 y el rechazo (paso 40 ) o jla autorización (paso 41 ) del usuario respecto a la jtransacción se transporta de vuelta al servidor 2 por medio <3e la conexión segura. En el paso de decisión 42 , la lógica de control 11 decide sí existe otra transacción para mostrar y, de ser así, la operación regresa al paso 38 para la siguiente transacción. De otro modo, la operación regresa al paso 37 de retraso esperando la siguiente petición por información de transacción.

I ; El siguiente proceso continúa mientras el TAD permanece I conectado mediante su conexión segura al servidor 2. De este modo, el TAD 5 recopila, vía la conexión segura, los detalles jde las transacciones diferidas que requieren de autorización por parte del usuario del TAD y pedidas por cualquier usuario por medio de cualquiera de las otras conexión entre las i computadoras de usuario 3 y el servidor 2 , pedidas ya sea I antes o después de la conexión con el TAD 5. Las transacciones diferidas pueden incluir las transacciones pedidas por el usuario actual del TAD vía una sesión del navegador con el servidor 2 , siendo esta sesión de navegador conducida en su totalidad de manera normal y permaneciendo I sin afectaciones por la presencia del TAD. Las transacciones pueden ser autorizadas de tal modo por el usuario en cualquier momento, y desde cualquier lugar, donde se conecte al servidor, siendo los detalles de la transacción ¡transportados de manera segura y autorizados de manera segura jpor medio del intermediario de las computadoras 3 no confiables y la red 4 no confiable. Í La operación del servidor 2 en respuesta a una petición I 'de la información de la transacción diferida desde una TAD 5 |se indica en la Figura 5 . Todas estas peticiones se pasan por una lógica de autorización 15 del servidor 2. El paso 50 representa la recepción de una petición en la lógica de f autorización 15 que entonces verifica el registro de transacciones diferidas en el paso 51 buscando cualquier ¡transacción que requiera la autorización por el usuario de la |TAD que hace la petición. Sí no se encuentran transacciones relevantes (N en la decisión 52 ) , esto se reporta entonces de regreso al TAD en el paso 53 y el proceso termina. Si se I i encuentran transacciones relevantes en el registro (Y en la decisión 52 ) , entonces los detalles de la transacción se envían por medio de la conexión segura al TAD, y la lógica 15 espera entonces la autorización como se indica en el retraso 55 . Sí no se recibe una respuesta de autorización (N en la decisión 56 ) , la lógica 15 determina en el paso 57 sí se ha alcanzado un límite de "tiempo fuera" para la respuesta y, de ser así, el proceso termina. De otro modo, la operación ¡regresa al retraso 55 para , esperar un intervalo de tiempo adicional. Cuando una respuesta de autorización se recibe (Y jen la decisión 56) , la lógica de autorización identifica en jel paso 58 sí la transacción ha sido aprobada (Y) o rechazada ¡(N). Sí es rechazada, entonces en los pasos 59 y 60 la lógica I de autorización elimina la transacción del registro de !transacciones diferidas 17 y notifica a la lógica del Iservidor 14 del rechazo. La lógica del servidor 14 puede ¡entonces tomar una acción apropiada tal como notificar al jusuario que ha realizado la petición que la autorización de la transacción · fue rechazada. Entonces,, la operación procede al paso 61, donde la lógica 15 decide sí existen transacciones adicionales esperando la autorización. Sí no, i el proceso termina entonces, pero de lo contrario, la operación regresa al paso 55 para esperar la autorización adicional. Regresando al paso 58, sí la transacción se kutoriza en este punto, entonces en la decisión 63 la lógica 15 determina, a partir del registro de transacciones, sí aún se requiere la autorización de otros usuarios para la transacción. De ser así, el registro simplemente se actualiza ein el paso 64 para indicar la autorización del usuario actual, y la operación procede al paso 61 como antes. De otro modo, sin embargo, la lógica de autorización instruirá a la i lógica del servidor 14 que realice la transacción en el paso 65. La transacción es eliminada entonces del registro de I transacciones diferidas en el paso 64 y la operación procede ^al paso 61 con la siguiente transacción que requiere ^autorización. Una vez que todas las transacciones han sido autorizadas (o rechazadas) por el usuario del TAD actual, o '¡una vez que el limite del tiempo fuera para la autorización i ¡ha sido alcanzado, el proceso se considera completado.

I El proceso anterior permite al servidor recibir las autorizaciones de las transacciones desde usuarios móviles ¡siempre que se conectan vía cualquier computadora de usuario jen el sistema de comunicaciones. Sólo cuando las ¡autorizaciones necesarias han sido recibidas desde todas las partes requeridas, como se define en la base de datos de reglas 18 , una transacción será implementada por el servidor.

Las reglas en la base de datos 18 pueden implementar I · ^requerimientos complejos de autenticación arbitrarios de múltiples partes, por ejemplo, para reflejar las j , responsabilidades organizacionales dentro de las compañías, el servidor decide qué transacciones deben autorizarse de manera explícita por cuales usuarios. Por ejemplo, asumiendo que el Usuario 1 ha iniciado una transacción que vale 1000 ÜSD, la base de datos puede contener una regla que especifique que la autorización de la transacción segura se requiere por parte del Usuario 1 y también por parte del Usuario N sí la transacción vale más de 500 USD. En este j caso, el servidor indicaría una transacción pendiente I I respecto a los TADs de ambos usuarios cuando se conectan, y (sólo sí ambos usuarios autorizan la transacción, esta será procesada exitosamente por el servidor. Mientras que un MITM !o software malicioso podrían atacar el proceso de iniciación ;de la transacción por parte del usuario, el proceso 'subsecuente de autenticación de la transacción de múltiples i ¡partes es seguro en contra de tales ataques aunque los TADs Ison operados en computadoras no confiables. Los usuarios ]pueden confiar en la información desplegada en el TAD y ¡pueden comunicar de manera segura sus decisiones de autorización de vuelta al servidor seguro del proveedor de servicio. La autorización de transacción vía los TADs asegura ;de este modo las transacciones electrónicas en contra de 'ataques de MITM y software malicioso, y soporta las reglas 'complejas de autorización de múltiples partes, mientras mantiene la movilidad 'del usuario. De este modo, la ¡autorización segura de la transacción dé partes múltiples puede implementarse eficientemente en un ambiente jcomputacional móvil .

; Mientras se han descrito anteriormente las modalidades preferidas, pueden concebirse varias alternativas y adiciones. Por ejemplo, el TAD 5 podría involucrarse también ¡durante la autenticación de usuario cuando un usuario de- una computadora 3 inicia una sesión primero en el portal del proveedor de servicio, por ejemplo, por medio de un navegador i jweb, para comenzar una transacción. Cuando el usuario pide ,acceso al portal, el servidor 2 puede regresar algún código I 'de autorización, mediante la conexión segura, que puede ser ^mostrado por el TAD del usuario justamente como una 'transacción pendiente. El usuario puede entonces usar este ¡código para autenticar con el portal, al ingresar el código jen el teclado de la computadora 3 ¦ o mediante el teclado del TAD. En general, al usar los TADs, mientras la decisión del 'usuario es regresado preferentemente al servidor vía el canal 'seguro de TLS/SSL, el TAD puede desplegar algún código de iautorización específico de transacción/usuario generado por :el servidor en conjunto con los detalles de la transacción. El usuario podría copiar entonces el código de la pantalla y enviarlo al servidor mediante alguna otra conexión, osiblemente no confiable, por ejemplo, vía el navegador web. Esto otorga compatibilidad" con portales web existentes que - requieren códigos de única ocasión, distribuidos normalmente jfuera de banda por medio de una lista de marcas o mensajes de exto, para ser ingresados en una forma web por el. usuario.

Mientras la operación ha sido descrita en el contexto j de un servicio de banca en línea, el sistema puede ser aplicado para la autorización de numerosos tipos de operaciones de servidor, incluyendo el otorgamiento del I acceso a cualquier tipo de recurso. Por ejemplo, los TADs pueden ser usados para la autorización del control de acceso I · ¦ i I de múltiples partes de la misma manera que para la autorización de transacciones de múltiples partes. Aquí, sí jun usuario intenta iniciar sesión en el portal del proveedor jdel servicio, el servidor puede pedir la aprobación de una ó más personas vía su TAD justamente como que requirió para las ? 'transacciones del ejemplo anterior. j Los TADs podrían tomar una variedad de formas y podrían ;dedicarse puramente al propósito o estar integrados a algún Otro dispositivo que proporcione una funcionalidad adicional Ilimitada, tal como un ratón o un reproductor MP3 , como se jinencionó anteriormente. La interface de usuario podría implementarse en una variedad de manera, y podría suministrar :indicadores acústicos a los usuarios y/o presentar i (información visual de manera diferente, por ejemplo, jUtilizando un mecanismo de láser de ratón para producir una proyección sobre un escritorio. Las computadoras TADs y las 'interfaces del dispositivo de seguridad podrían implementar en general cualquier forma conveniente de una conexión alámbrica o inalámbrica. Es más, los datos de seguridad para Establecer la conexión segura podrían almacenarse en la memoria embebida físicamente en el TAD, por ejemplo, en un hip seguro que se proteja físicamente contra modificaciones, jasando contenedores de datos de auto-destrucción o sensores de detección de intrusos, por ejemplo. j La funcionalidad del servidor 2 puede distribuirse i I ¡sobre diferentes máquinas de un sistema de servidor, y la jmemoria 16 puede implementarse por uno ó más componentes de ^memoria diferentes distribuidos sobre más de una máquina.

I Será apreciado que muchos otros cambios y modificaciones pueden llevarse a cabo a las modalidades ¡ejemplares descritas sin alejarse del enfoque de la ¡invención .

Claims (15)

REIVINDICACIONES i

1. Un dispositivo de autorización (5) para autorizar i ¡operaciones de un servidor remoto (2) pedidas desde computadoras ' de usuario (3) mediante una red de comunicaciones de datos (4), incluyendo el dispositivo ( 5 ) : una interface computacional (6) para conectar el dispositivo (5) a una computadora local de usuario (3) para tener comunicación con el servidor remoto (2) mediante la red ¡de comunicaciones de datos (4) , una interface de usuario (7) para presentar información a un usuario, y la lógica de control (11) adaptada para: usar los datos de seguridad accesibles a la lógica de control (11) usados para establecer entre el dispositivo (5) y el servidor (2), vía la computadora local de usuario (3), una conexión autenticada mutuamente para las comunicaciones encriptadas -de extremo a extremo entre el dispositivo y el servidor; , recopilar del servidor (2), vía dicha conexión, ¡información indicativa de cualquier operación pedida por medio de una conexión diferente al servidor (2) y que requiere de autorización por un usuario del dispositivo (5) ; I y ! presentar dicha información a un usuario mediante dicha interface de usuario (7) para pedir la autorización de dicha operación.

2. Un dispositivo (5) como se reivindica en la reivindicación 1, en el que la lógica de control (11) se adapta para pedir dicha información del servidor (2) vía dicha conexión autenticada mutuamente.

3. Un dispositivo (5) como se reivindica en la reivindicación 1 o en la reivindicación 2, en el cual la lógica de control (11) se adapta para pedir dicha información desde el servidor (2) de manera periódica, mientras persiste dicha conexión autenticada mutuamente.

4. Un dispositivo (5) como se reivindica en cualquier ¡reivindicación precedente en el que la lógica de control (11) ! se adapta para iniciar el establecimiento de dicha conexión I autenticada mutuamente en respuesta a la conexión del ! dispositivo (5) con la computadora local de usuario (3).

5. Un dispositivo (5) como se reivindica en cualquier reivindicación precedente que incluye memoria que almacena los datos de seguridad. I

6. Un dispositivo (5) como se reivindica en cualquiera de las reivindicaciones 1 a 4 incluyendo una interface del dispositivo de seguridad (9) para conectar el dispositivo de autorización (5) a un dispositivo de seguridad (10) que i J almacena dichos datos de seguridad, en el cual la lógica de i 'control (11) se adapta para acceder a los datos de seguridad vía la interface del dispositivo de seguridad (9) en uso.

7. Un dispositivo (5) como se reivindica en la ¡reivindicación 6, en el cual la interface del dispositivo de seguridad incluye in lector de tarjetas (9) para conectar el

I |dispositivo de autorización (5) a una tarjeta inteligente (10) que almacena los datos de seguridad, j 8. Un dispositivo (5) como se reivindica en cualquier reivindicación precedente en el cual la interface de usuario incluye un mecanismo de entrada (8) para ingresar la I autorización del usuario, y en el cual la lógica de control ¡(11) se adapta para llevar dicha autorización de usuario al ! servidor (2) vía dicha conexión autenticada mutuamente, j

9. El aparato para controlar las operaciones de un Iservidor (2) pedidas desde las computadoras de usuario (3) ¡mediante una red de comunicaciones de datos (4) , incluyendo leí aparato la memoria (16) para almacenar los datos de las reglas (18) que definen las operaciones que requieren de jautorización por uno ó más usuarios autorizadores , y la lógica de control (15) adaptada: En respuesta a una petición desde una computadora de usuario (3) para llevar a cabo dicha operación, determinar a partir de los datos de las reglas (18), sí la autorización de por lo menos un usuario autorizador se requiere para esta operación y, de ser así, diferir dicha operación; Comunicarse con un dispositivo de autorización (5) , como i se reivindica en cualquier reivindicación precedente, para : establecer dicha conexión autenticada mutuamente; i Suministrar al dispositivo de autorización (5) , vía dicha conexión, la información indicativa de cualquier operación diferida pedida desde las computadoras de usuario (3) y que requieren la autorización por parte de un usuario del i dispositivo de autorización (5), y para recibir la I autorización del usuario; y Iniciar la ejecución de una operación diferida en t respuesta a la recepción de la autorización de cada usuario autorizador del cual se requiere su autorización para esta í , operación. I

10. El aparato reivindicado en la reivindicación 9, en el icual la lógica de control (15) se adapta para proveer dicha información al dispositivo de autorización (5) en respuesta a una petición del dispositivo de autorización (5) por medio de dicha conexión autenticada mutuamente .

11. El aparato cómo se reivindica en la reivindicación 9 jo la ' reivindicación 10, en el cual la lógica de control (15) |se adapta para recibir dicha autorización del usuario del i dispositivo de autorización (5) vía dicha conexión autenticada mutuamente.

12. Un servidor (2) para realizar las operaciones pedidas desde las computadoras de usuario (3) por medio de una red de 'comunicaciones de datos (4) , incluyendo el servidor (2) : La circuítería de comunicaciones (13) para comunicarse con las computadoras de usuario (3) vía la red de comunicaciones de datos (4) ; La lógica de servidor (14) para · realizar dichas operaciones en respuesta a las peticiones desde las computadoras de usuario (3); y El aparato como se reivindica en cualquiera de las reivindicaciones 9 a 11 para controlar el desempeño de dichas i ¡operaciones mediante la lógica del servidor (14) .

13. Un sistema de comunicaciones de datos (1), que ; incluye : ! Un servidor (2) como se reivindica en la reivindicación ¡12;. Por lo menos ¦ una computadora de usuario (3) para comunicarse con el" servidor (2) mediante una red de i . Icomunicaciones de datos (4) ; y j Por lo menos un dispositivo de autorización (5) como se eivindica en cualquiera de las reivindicaciones 1 a 8 para la conexión a la computadora de usuario (3) por medio de |dicha interface computacional (6) de dispositivo (5) ; ¡ En el cual la computadora de usuario (3) se adapta para transmitir las comunicaciones entre el dispositivo de 'autorización (5) y el servidor (2) vía dicha conexión jautenticada mutuamente.

14. Un programa computacional que incluye el medio con el código de programa para provocar que un procesador de un dispositivo de autorización (5) , adaptado para la conexión con una computadora de usuario (3), se comunique con un servidor (2) remoto por medio de la red de comunicaciones de datos (4) y con una interface de usuario (6) para presentar la información a un usuario del dispositivo (5), para: Usar los datos de seguridad asociados con el dispositivo de autorización (5) para establecer por medio de la computadora local de usuario (3), una conexión autenticada mutuamente para las comunicaciones encriptadas de extremo a extremo con el servidor (2); Recopilar del servidor (2), vía dicha conexión, la información indica que cualquier operación pedida mediante una conexión diferente al servidor (2) y requiriendo la autorización por un usuario del dispositivo (5) ; y Presentar dicha información a un usuario vía la interface de usuario (6) para pedir la autorización de dicha operación. j !

15. Un programa computacional que incluye el medio con ¡código de programa paira provocar que un servidor (2), i ¡adaptado para realizar las operaciones pedidas desde las [Computadoras de usuario (3), vía la red de comunicaciones de jdatos (4), y con memoria (6) para almacenar los datos de las jreglas (18) que definen las operaciones que requieren la ¦autorización por parte de uno ó más usuarios autorizadores , para : Determinar a partir de los datos de las reglas (18) , en respuesta a una petición desde una computadora de usuario (3) para realizare dicha operación, si la autorización de por lo ¡menos un usuario autorizador se requiere para esta operación I I ¡y, de ser así, diferir dicha operación; Comunicarse con un dispositivo autorizador (5) como se reivindica en cualquiera de las reivindicaciones 1 a 8 para establecer dicha conexión autenticada mutuamente; i ! Proveer al dispositivo autorizador (5) , vía dicha ¡conexión, la información que indica cualquier operación 'diferida desde las computadoras de usuario (3) y que ¡requieren la autorización por parte de un usuario del ¡dispositivo de autorización (5), y para recibir la autorización por parte del usuario; y Realizar una operación diferida en respuesta a la ¡ recepción de la autorización por parte de cada usuario i autorizador de quien se requiere autorización de esta i operación. RESUMEN ? Se proporciona un dispositivo de autorización para ' autorizar las operaciones de un servidor remoto pedidas desde ! computadoras de usuario vía una red de comunicaciones de i datos. El .dispositivo tiene una interface computacional para j conecta el dispositivo a una computadora local de usuario I para la comunicación con el servidor remoto, y una interface de usuario para presentar la información a un usuario. La ! lógica de control del dispositivo se adapta para usar los datos de seguridad para establecer entre el dispositivo y el , servidor, por medio de la computadora local de usuario, una 1 conexión autenticada mutuamente para las comunicaciones I encriptadas de extremo a extremo entre el dispositivo y el servidor. La lógica de control recopila del servidor, vía 1 esta conexión, la información indicativa de cualquier j operación pedida por las computadoras de usuario mediante : otras conexiones al servidor y que requieren la autorización por parte de un usuario del dispositivo. Esta información es i presentada a un usuario por medio de la interface de. usuario 'para pedir la autorización del usuario. Las operaciones de 'servidor son controladas en conformdiad con los datos de las ] reglas que definen las operaciones que requieren de I autorización de uno ó más usuarios autorizadores . La lógica ^ de control del aparato de control del servidor responde a una i i i ¡ petición de operación de una computadora de usuario al determinar, a partir de los datos de las reglas, sí se ' requiere la autorización de por lo menos un usuario I autorizador para esta operación. De ser así, la operación se j difiere. Cuando una conexión ¦ autenticada mutuamente se establece con un dispositivo autorizador, el aparato de control puede suministrar la información indicativa de cualquier operación diferida pedida desde las computadoras de I usuario y que requieren la autorización por parte del usuario j del dispositivo. Una operación diferida sólo se lleva a cabo i después de la recepción de la autorización de cada usuario ; autorizador cuya autorización" se requiere para esta i operación, proporcionando una autorización segura de I I múltiples partes en un ambiente de computación móvil . i